Nach kurzer Suche war der Schuldige schnell gefunden: der Duplicator legt seine Dateien im Verzeichnis /wp-snapshots ab. Dort wird bei der Installation eine Datei namens .htaccess angelegt, deren Inhalt nur dafür sorgen soll, dass beim direkten Aufrufen des Verzeichnisses der Inhalt nicht aufgelistet werden kann. Und das mag der World4you-Server offenbar gar nicht, denn diese Einstellung kann man im Kundenbereich my.world4you.com unter „Webspace -> Einstellungen -> Weitere Server-Einstellungen“ global für alle Verzeichnisse setzen: wenn hier „Directory Listing“ auf AUS gesetzt ist, kann die .htaccess mit diesem Inhalt getrost entfallen.

Abhilfe also: Directory Listing im Kundenbereich auf AUS, .htaccess (NUR die Datei im Verzeichnis /wp-snapshots – NICHT die .htaccess im Hauptverzeichnis!!!!!) löschen – und der Download der Duplicator-Files klappt einwandfrei.

Options +FollowSymlinks
RewriteEngine on
RewriteCond %{REMOTE_ADDR} !^111.111.111.111$
RewriteCond %{REMOTE_ADDR} !^222.222.222.222$
RewriteRule ^(.*)$ http://www.website.com/shopwartung/ [R=302,L]

In diesem Anwendungsbeispiel liegt die .htaccess-Datei im Unterverzeichnis shop/ auf der Website, der Zugriff ist nur für die IP-Adressen 111.111.111.111 und 222.222.222.222 erlaubt. Alle anderen werden auf dieselbe Website ins Verzeichnis shopwartung/ umgeleitet. Dieses muss zwingend außerhalb des geschützten Verzeichnisses liegen! Die IPs und die Umleitungsadresse müsst ihr natürlich an eure eigenen Gegebenheiten anpassen.
Wenn die .htaccess im selben Verzeichnis wie die restliche Website liegt, muss man den Code ein wenig abändern:

Options +FollowSymlinks
RewriteEngine on
RewriteCond %{REMOTE_ADDR} !^111.111.111.111$
RewriteCond %{REMOTE_ADDR} !^222.222.222.222$
RewriteCond %{REQUEST_URI} !shopwartung/
RewriteRule ^(.*)$ http://www.website.com/shopwartung/ [R=302,L]

So werden nur die Zugriffe umgeleitet, die nicht aufs Verzeichnis /showartung zugreifen wollen – denn sonst versucht der Server eine erneute Umleitung dorthin und gerät in eine Endlosschleife.
Die .htaccess kann man nach Abschluss der Wartung im Verzeichnis belassen – einfach vor die letzte Zeile ein Raute-Zeichen (#) setzen, um die Umleitung zu deaktivieren.
Anmerkung: natürlich könnte man während einer Seitenwartung Zugriffe von Fremd-IPs einfach blocken (der Besucher kriegt dann lapidar „403-Access denied“ mitgeteilt), ich halte meine Methode allerdings für etwas freundlicher.